RHEL 6 : openstack-nova (RHSA-2013:0208)
high Nessus プラグイン ID 210208
Language:
概要
リモートの Red Hat ホストに 1つ以上の openstack-nova 用のセキュリティ更新プログラムが適用されていません。説明
リモート Redhat Enterprise Linux 6 ホストに、RHSA-2013:0208 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。openstack-nova パッケージは、クラウドコンピューティングのファブリックコントローラーである OpenStack Compute (コード名 Nova) を提供します。
openstack-nova パッケージが Upstream バージョン 2012.2.2 にアップグレードされ、以前のバージョンに対する多くのバグ修正と拡張機能が提供されます。
この更新では、次のセキュリティ問題も修正されます。
nova-volume の boot-from-volume 機能は、イメージの起動を試みるユーザーが許可されている場合、正しく検証しないことが判明しました。認証されたユーザーがこの欠陥を利用して、意図された制限をバイパスすることで、他の方法ではアクセスできないイメージを起動させ、他のユーザーのイメージに保存されているデータを漏洩させる可能性があります。この問題は、Red Hat OpenStack のデフォルトである Cinder ブロックストレージメカニズムを使用する設定には影響しませんでした。(CVE-2013-0208)
OpenStack Nova が libvirt でゲストインスタンスを提供するように設定されており、ゲストが LVM 支援一時ストレージを使用している場合 (/etc/nova/nova.conf の libvirt_images_type=lvm)、物理ボリュームの内容は消去されず、ボリュームが別のゲストインスタンスで使用するためにシステムへ戻されました。これにより、新しいインスタンスが以前のインスタンスのファイルやデータにアクセスできるようになる可能性があります。この問題は、Red Hat OpenStack のデフォルトである Cinder ブロックストレージメカニズムを使用する設定には影響しませんでした。(CVE-2012-5625)
Red Hat は、これらの問題を報告してくれた OpenStack プロジェクトに感謝の意を表します。Upstream では、Phil Day 氏を CVE-2013-0208 の最初の報告者として、Eric Windisch 氏をCVE-2012-5625 の最初の報告者として認めます。
すべての openstack-nova ユーザーは、前述の更新済みパッケージにアップグレードし、これらの問題を解決することをお勧めしています。更新されたパッケージをインストールすると、サービスを実行している Nova は自動的に再起動されます。
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
RHEL openstack-nova パッケージを、RHSA-2013:0208 のガイダンスに基づいて更新してください。参考資料
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=856263
https://bugzilla.redhat.com/show_bug.cgi?id=881810
https://bugzilla.redhat.com/show_bug.cgi?id=884293
https://bugzilla.redhat.com/show_bug.cgi?id=887303
https://bugzilla.redhat.com/show_bug.cgi?id=902629
プラグインの詳細
深刻度: High
ID: 210208
ファイル名: redhat-RHSA-2013-0208.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
公開日: 2024/11/4
更新日: 2024/11/4
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
Vendor
Vendor Severity: Important
CVSS v2
リスクファクター: Medium
基本値: 6.5
現状値: 4.8
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P
CVSS スコアのソース: CVE-2013-0208
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2012-5625
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:openstack-nova-common, p-cpe:/a:redhat:enterprise_linux:openstack-nova-compute, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:openstack-nova-scheduler, p-cpe:/a:redhat:enterprise_linux:openstack-nova-objectstore, p-cpe:/a:redhat:enterprise_linux:openstack-nova, p-cpe:/a:redhat:enterprise_linux:openstack-nova-network, p-cpe:/a:redhat:enterprise_linux:python-nova, p-cpe:/a:redhat:enterprise_linux:openstack-nova-volume, p-cpe:/a:redhat:enterprise_linux:openstack-nova-api, p-cpe:/a:redhat:enterprise_linux:openstack-nova-console, p-cpe:/a:redhat:enterprise_linux:openstack-nova-cert, p-cpe:/a:redhat:enterprise_linux:openstack-nova-doc
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2013/1/30
脆弱性公開日: 2012/12/11
参照情報
CVE: CVE-2012-5625, CVE-2013-0208
RHSA: 2013:0208